Agentes de IA com memória de longo prazo enfrentam um dilema estrutural: a mesma flexibilidade que permite atualizar um fato que mudou (evitando memória desatualizada) é a que permite que um atacante plante uma instrução ou passagem maliciosa na memória (envenenamento). Os autores propõem uma métrica, evidence-conditioned accuracy, e uma técnica de fine-tuning que, em testes com três modelos-base, praticamente dobrou a robustez da memória — ainda que sem eliminar o problema por completo.
Fonte ↗Defesas atuais contra envenenamento de memoria e ataques de decomposicao em agentes de LLM falham porque avaliam cada requisicao isoladamente, sem conectar evidencia espalhada ao longo do tempo. O GRAD agrega evidencia em um grafo de execucao e usa um conjunto extensivel de 'especialistas de deteccao' que se adaptam a novos contextos sem esquecer capacidades aprendidas antes, alcançando AUROC de ate 97,19% contra ataques de decomposicao.
Fonte ↗O MemForm é um benchmark diagnóstico que isola cinco interfaces distintas pelas quais a memória persistente de um agente de IA pode ser manipulada por um adversário — conteúdo, evidência, escopo, seleção e ordem de consolidação. Testes em seis LLMs mostram suscetibilidade ampla em todas as cinco interfaces, e revelam que até mesmo experiências legítimas e bem-sucedidas podem produzir comportamento indesejado dependendo apenas da ordem em que são consolidadas na memória.
Fonte ↗O estudo isola o efeito de quatro defesas contra memory-poisoning em agentes LLM rodando exclusivamente sobre tráfego benigno, mantendo backend de memória, retrieval e juiz constantes entre condições. As três defesas aplicadas no momento de escrita da memória não mostraram custo de utilidade mensurável, mas a defesa de leitura (um reranker) colocou memórias legítimas em quarentena em 33,6% dos casos avaliados, chegando a 106 falsas quarentenas em uma única conversa.
Fonte ↗Pesquisadores apresentaram o PMPA (Persistent Memory Poisoning Attack), uma técnica que injeta instruções maliciosas em fontes externas aparentemente benignas para induzir um agente a gravá-las em sua própria memória persistente, de onde elas voltam a ser executadas em sessões futuras. Testado contra o OpenClaw e o Claude Code, o ataque atingiu taxas médias de injeção de 73,7% e 66,9%, respectivamente, com taxa de sucesso entre sessões de até 81,7% no Claude Code, preservando o desempenho do agente em tarefas legítimas.
Fonte ↗Pesquisadores apresentam o PipePoison, um ataque que otimiza de ponta a ponta o envenenamento indireto da memória de longo prazo de agentes de LLM, tratando as etapas de escrita, recuperação e uso da memória como um único problema acoplado em vez de otimizá-las isoladamente. O ataque aumenta a taxa de utilização bem-sucedida do conteúdo envenenado em 19,1 pontos percentuais frente a abordagens anteriores, mantendo eficácia mesmo contra oito defesas representativas e em configurações de vítima nunca vistas antes.
Fonte ↗